Przetwarzanie danych osobowych klientów jest nieodłącznym elementem prowadzenia działalności gospodarczej. Dane są gromadzone podczas zawierania umów, realizacji zamówień, wystawiania faktur czy prowadzenia działań marketingowych. Wielu przedsiębiorców zastanawia się jednak, jak długo przechowywać dane klientów, aby działać zgodnie z przepisami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), dalej: ,,RODO’’. Odpowiedź zależy przede wszystkim od celu przetwarzania danych oraz obowiązków wynikających z przepisów prawa.
Podstawy prawne retencji danych osobowych
Zgodnie z art. 5 ust. 1 lit. e RODO dane mogą być przechowywane wyłącznie przez okres niezbędny do realizacji celu, dla którego zostały zebrane.
Uzupełnieniem tej zasady jest art. 17 RODO, który przyznaje osobom fizycznym prawo do żądania usunięcia danych. Nie dotyczy to jednak sytuacji, gdy dalsze przechowywanie danych wynika z obowiązku prawnego lub jest niezbędne do np. dochodzenia roszczeń.
RODO nie wskazuje konkretnych terminów retencji. W praktyce okres przechowywania danych zależy od celu ich przetwarzania oraz przepisów szczególnych, np. dotyczących dokumentacji księgowej, podatkowej czy pracowniczej.
Jeżeli dane są przetwarzane w związku z realizacją umowy, mogą być przechowywane przez czas jej wykonywania, a następnie przez okres potrzebny do dochodzenia lub obrony przed ewentualnymi roszczeniami. W przypadku dokumentów księgowych zawierających dane klientów obowiązują odrębne przepisy, które wymagają ich przechowywania przez określony czas.
Dane klientów a obowiązki podatkowe
Jednym z najczęstszych powodów dalszego przechowywania danych osobowych są obowiązki podatkowe. Dokumentacja księgowa, w tym faktury zawierające dane klientów, powinna być przechowywana co do zasady przez 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Oznacza to, że przedsiębiorca nie zawsze może usunąć dane na żądanie klienta, jeśli ich dalsze przechowywanie wynika z obowiązujących przepisów prawa.
Dane przetwarzane na podstawie zgody
Jeżeli dane klientów są przetwarzane na podstawie zgody, na przykład w celach marketingowych lub w ramach newslettera, mogą być przechowywane do momentu jej cofnięcia. Administrator powinien jednak regularnie weryfikować posiadane bazy danych i usuwać informacje, które nie są już potrzebne do realizacji celu przetwarzania.
Kiedy należy usunąć dane osobowe?
Usuwanie danych osobowych powinno nastąpić po upływie okresu retencji lub wtedy, gdy przestanie istnieć podstawa prawna do ich dalszego przetwarzania. Dotyczy to zarówno danych przechowywanych elektronicznie, jak i dokumentacji papierowej. W niektórych przypadkach możliwe jest również zanonimizowanie danych, czyli trwałe usunięcie informacji pozwalających na identyfikację konkretnej osoby.
Retencja danych osobowych to jeden z podstawowych obowiązków administratorów danych wynikających z RODO. Przedsiębiorcy powinni określić, jak długo przechowywać dane klientów, uwzględniając cel przetwarzania, obowiązki prawne oraz terminy przedawnienia roszczeń. Właściwe zarządzanie danymi osobowymi pozwala nie tylko zachować zgodność z przepisami, ale również zwiększa bezpieczeństwo prowadzonej działalności.
